ISO/IEC 27701:2025: a norma de privacidade que ganhou vida própria

Durante seis anos, a ISO/IEC 27701 foi apresentada como extensão. Na edição de 2019, ela acrescentava requisitos e controles de privacidade às normas ISO/IEC 27001 e 27002, e só podia ser certificada por quem já tivesse um sistema de gestão de segurança da informação (SGSI). Para muitas organizações, isso tornava o caminho longo: primeiro a segurança, depois a privacidade.

A revisão publicada pela ISO e pela IEC em 14 de outubro de 2025 mudou esse desenho. A ISO/IEC 27701:2025 passou a ser uma norma de sistema de gestão autônoma, voltada ao sistema de gestão da privacidade da informação (SGPI). No Brasil, a ABNT publicou a nova edição em janeiro de 2026, com o título “Segurança da informação, segurança cibernética e proteção da privacidade — Sistemas de gestão da privacidade da informação — Requisitos e orientações”.

O que mudou de 2019 para 2025

A norma continua conversando com a segurança da informação, mas agora tem estrutura própria. Ela segue a Estrutura Harmonizada das normas ISO de sistemas de gestão, com requisitos completos nas cláusulas 4 a 10, e reúne em um anexo os controles para controladores e operadores de dados pessoais, com orientações de implementação em outro anexo. O conteúdo foi alinhado às edições de 2022 da ISO/IEC 27001 e 27002, e o contexto foi atualizado para temas como nuvem, transferências internacionais e inteligência artificial.

Para quem já tem ISO/IEC 27001

Nada se perde. A integração continua possível e recomendável: análise de riscos, auditoria interna, análise crítica pela direção e controle de documentos podem ser compartilhados entre os dois sistemas. O trabalho está em ajustar a documentação à nova estrutura e revisar os controles de privacidade, que mudaram de organização e de numeração.

Organizações certificadas pela versão de 2019 precisam passar por auditoria de transição. Certificadoras indicam outubro de 2028, três anos após a publicação, como horizonte para a migração, e algumas alertam que o período pode ser menor. Confirme o calendário com o organismo certificador antes de planejar.

Para quem quer começar pela privacidade

A principal novidade é a porta de entrada. Organizações cujo risco maior está no tratamento de dados pessoais, como prestadores de serviços que atuam como operadores, plataformas digitais e instituições de saúde ou de educação, podem estruturar e certificar um SGPI sem antes certificar a segurança da informação.

Isso não dispensa controles de segurança. A proteção de dados pessoais continua exigindo medidas técnicas e administrativas compatíveis com os riscos, e a própria norma traz controles de segurança aplicáveis ao tratamento desses dados. A diferença é que o ponto de partida passa a ser o titular, e não apenas o ativo de informação.

Como a norma conversa com a LGPD

Certificação não equivale a conformidade legal. A LGPD é a lei; a ISO/IEC 27701 é um modelo de gestão que ajuda a cumprir a lei de forma organizada e a demonstrar isso. Na prática, os requisitos da norma se conectam a obrigações concretas:

• Registro das operações de tratamento (art. 37) e relatório de impacto à proteção de dados (art. 38).
• Atendimento aos direitos dos titulares, com prazos e evidências.
• Resposta a incidentes, incluindo a comunicação em três dias úteis prevista na Resolução CD/ANPD nº 15/2024.
• Contratos com operadores e transferências internacionais, tema da Resolução CD/ANPD nº 19/2024.
• Segurança desde a concepção de produtos e serviços, como pede o art. 46 da LGPD.

Diante da autoridade, um sistema de gestão bem implantado também reforça a demonstração de boas práticas de governança, fator que o regulamento de dosimetria considera na aplicação de sanções.

A pressão por maturidade cresce. O estudo de privacidade da Cisco de 2026, com mais de 5.200 profissionais em 12 mercados, mostra que a inteligência artificial ampliou o escopo dos programas de privacidade e que a maioria das organizações pretende investir mais no tema.

Um ciclo para estruturar o SGPI

Como toda norma de sistema de gestão, a ISO/IEC 27701 funciona em ciclo. A implantação não termina na certificação: ela segue com medição, auditoria e melhoria.

Próximos passos

Se a organização já tem ISO/IEC 27001, faça uma análise de lacunas frente à edição de 2025 e planeje a integração. Se ainda não tem, avalie se a privacidade é o melhor ponto de partida, considerando o volume de dados pessoais tratados e as exigências de clientes e órgãos de controle. Em ambos os casos, o inventário de dados pessoais é o primeiro insumo.

A Midnal implanta sistemas de gestão baseados em normas ISO, incluindo segurança da informação e privacidade, para órgãos públicos, empresas e organizações do terceiro setor. Conheça a frente de governança, LGPD e compliance.